Политика обработки персональных данных

1. Общие положения

1.1. Назначение документа

Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с требованиями пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о ПДн») и определяет политику Оператора в отношении обработки персональных данных, а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Оператор персональных данных

• Оператор: Индивидуальный предприниматель Бабчин Олег Ильич (беговой клуб «Второе Дыхание»).
• ОГРНИП: 311784730501087
• ИНН: 780157519080
• Адрес места регистрации: 199397, г. Санкт-Петербург, Новосмоленская набережная, д. 6, кв. 43
• Почтовый адрес для обращений: 199397, г. Санкт-Петербург, Новосмоленская набережная, д. 6, кв. 43
• Адрес электронной почты: contact@vdsport.ru
• Сайт: vdsport.ru

1.3. Действие Политики

Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных — пользователей сайта vdsport.ru (далее — «Сайт»), а также участников клуба «Второе Дыхание» и иных лиц, чьи данные Оператор обрабатывает в связи с оказанием услуг.

Услуги Оператора и Сайт предназначены для лиц, достигших 18 (восемнадцати) лет. Оператор не оказывает услуги несовершеннолетним и не осуществляет целенаправленный сбор их персональных данных. Если Оператору станет известно, что персональные данные получены от лица, не достигшего 18 лет, такие данные подлежат уничтожению.

2. Термины и определения

2.1. Основные понятия

• Персональные данные (ПДн) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
• Оператор — ИП Бабчин О.И., самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки, состав ПДн, действия с ними.
• Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.
• Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.
• Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
• Cookie — небольшой фрагмент данных, отправленный веб-сервером и хранимый на устройстве пользователя, который веб-клиент отправляет веб-серверу при каждом обращении.

3. Правовые основания обработки персональных данных

3.1. Нормативная база

Оператор осуществляет обработку персональных данных на основании:

• Конституции Российской Федерации;
• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Гражданского кодекса Российской Федерации;
• Федерального закона от 07.07.2003 № 126-ФЗ «О связи» и Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» — в части, применимой к использованию файлов cookie и аналогичных технологий;
• иных нормативных правовых актов, регулирующих отношения, связанные с обработкой персональных данных;
• согласий субъектов персональных данных, оформляемых в виде отдельного документа в соответствии с требованиями, действующими с 1 сентября 2025 года (см. отдельный документ «Согласие на обработку персональных данных», /legal/consent);
• договоров, стороной которых либо выгодоприобретателем или поручителем по которым является субъект персональных данных (пункт 5 части 1 статьи 6 Закона о ПДн) — в части исполнения договора оказания услуг членства клуба.

3.2. Конкретные основания по контекстам

• Регистрация/вход в личный кабинет — согласие субъекта на обработку ПДн, обрабатываемых через провайдеров входа (Яндекс ID, VK ID, email/пароль). Telegram способом входа не является: он подключается субъектом по собственной инициативе уже после входа, как канал уведомлений (раздел 8.2).
• Запись на пробную тренировку — согласие субъекта, данное при заполнении формы (имя, телефон, удобная дата и способ занятий); Telegram подключается субъектом отдельно, запуском бота клуба по ссылке с экрана после отправки заявки (раздел 8.2).
• Оплата членства — исполнение договора оказания услуг (обработка данных для проведения платежа через банк-эквайер АО КБ «Модульбанк») и требования законодательства о применении контрольно-кассовой техники — формирование фискального чека с использованием облачной онлайн-кассы «МодульКасса», подключённой к сервису интернет-эквайринга (Федеральный закон от 22.05.2003 № 54-ФЗ).
• Аналитика/cookie — согласие субъекта, зафиксированное отметкой vd_analytics_consent (см. раздел 10).

4. Цели обработки персональных данных

4.1. Перечень целей

Оператор обрабатывает персональные данные в следующих целях:

• регистрация и аутентификация пользователя в личном кабинете на Сайте;
• запись на бесплатную пробную тренировку и связь с субъектом для её подтверждения;
• заключение и исполнение договора оказания услуг членства (Групповой/Индивидуальный/ОФП тарифы), включая продление членства;
• проведение расчётов за услуги членства через сервис интернет-эквайринга банка-эквайера АО КБ «Модульбанк», формирование и направление Оператором фискальных чеков в соответствии с 54-ФЗ;
• направление уведомлений, связанных с оказанием услуг (напоминания о тренировках, статус оплаты, изменения расписания) через email и/или Telegram-бота клуба;
• предоставление участникам клуба доступа к тренировочным планам в сервисе учёта тренировок Final Surge (для тарифов, включающих такой доступ);
• ведение статистики посещаемости и использования Сайта, аналитика и улучшение качества сервиса (при наличии согласия на использование аналитических cookie);
• исполнение требований законодательства РФ (в том числе налогового и бухгалтерского учёта).

4.2. Запрет на несовместимую обработку

Обработка персональных данных, несовместимая с целями сбора, не допускается.

4.3. Автоматизированное принятие решений

Оператор не принимает в отношении субъектов персональных данных решений, порождающих для них юридические последствия или иным образом существенно затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки персональных данных без участия человека (профилирования), в значении статьи 16 Закона о ПДн.

5. Категории персональных данных и субъектов

5.1. Категории субъектов персональных данных

• пользователи Сайта, зарегистрировавшие личный кабинет;
• лица, записавшиеся на пробную тренировку;
• участники (члены) клуба «Второе Дыхание», оплатившие членство;
• представители Оператора, взаимодействующие с субъектами (для целей ведения переписки).

5.2. Категории и перечень обрабатываемых персональных данных

5.3. Специальные категории и биометрия

Оператор не осуществляет обработку специальных категорий персональных данных (о состоянии здоровья, национальности и т. п.) и биометрических персональных данных. Сведения о состоянии здоровья, противопоказаниях и травмах Оператор не собирает, не записывает и не хранит ни в какой форме: ни через формы Сайта, ни в личном кабинете, ни в переписке, ни во внешних сервисах учёта тренировок. Субъект самостоятельно оценивает своё состояние и при необходимости устно предупреждает тренера об ограничениях на площадке; такие устные сообщения Оператором не фиксируются. Фото- и видеоматериалы, если они публикуются, используются в иллюстративных целях, для установления личности не применяются и биометрическими персональными данными не являются. См. также «Публичную оферту» (/legal/offer) и «Условия пробной тренировки» (/legal/trial).

6. Объём, способы, сроки обработки и хранения персональных данных

6.1. Способы обработки

Обработка персональных данных осуществляется с использованием средств автоматизации (автоматизированная обработка), в том числе с передачей по внутренней сети Оператора и информационно-телекоммуникационной сети «Интернет», а также без использования средств автоматизации в случаях, предусмотренных законодательством РФ.

6.2. Действия с персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 8, обезличивание, блокирование, удаление, уничтожение персональных данных.

6.3. Сроки хранения

• Персональные данные обрабатываются в течение срока, необходимого для достижения целей, указанных в разделе 4, — как правило, в течение срока действия членства субъекта в клубе и 3 (трёх) лет после его окончания (для целей учёта, разрешения споров и исполнения требований законодательства).
• Данные лиц, записавшихся на пробную тренировку, но не ставших участниками клуба, хранятся не более 6 (шести) месяцев с момента записи, после чего обезличиваются или уничтожаются.
• Учётная запись пользователя, зарегистрировавшего личный кабинет, но не оформившего членство, хранится 12 (двенадцать) месяцев с даты последнего входа; не позднее чем за 30 дней до истечения этого срока Оператор направляет уведомление на адрес электронной почты, после чего учётная запись и связанные с ней данные удаляются или обезличиваются.
• IP-адреса в журналах ограничения частоты запросов хранятся не более 30 (тридцати) дней с момента записи.
• Записи о предоставленных согласиях (дата, контекст, редакция документа) хранятся 3 (три) года с момента предоставления либо отзыва согласия: они нужны Оператору как подтверждение правомерности обработки.
• Сведения об оплатах хранятся в течение срока, установленного законодательством о бухгалтерском учёте и налогами, независимо от сроков, указанных выше.
• Данные удаляются или обезличиваются при отзыве согласия субъектом (с учётом законных оснований для дальнейшего хранения — например, налогового учёта), при достижении целей обработки либо при утрате необходимости в их достижении.

7. Порядок и условия обработки персональных данных

7.1. Общий порядок

Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Законом о ПДн, в том числе на основе принципов законности и справедливости, ограничения обработки достижением конкретных целей, недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

7.2. Локализация баз данных (ст. 18 ч. 5 Закона о ПДн)

При сборе персональных данных, в том числе через Сайт, Оператор обязан обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, физически расположенных на территории Российской Федерации. Оператор хранит персональные данные в базе данных PostgreSQL, размещённой на серверах хостинг-провайдера АО «Селектел» (ИНН 7810962785, ОГРН 1247800067790, 196006, г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А) в дата-центре на территории Российской Федерации (Санкт-Петербург).

8. Передача персональных данных третьим лицам

8.1. Основания передачи

Оператор вправе передавать персональные данные субъекта следующим категориям третьих лиц исключительно в объёме, необходимом для достижения целей, указанных в разделе 4:

• банку-эквайеру АО КБ «Модульбанк» — для проведения расчётов (платежей) за услуги членства;
• оператору онлайн-кассы — сервису «МодульКасса» (АО КБ «Модульбанк») — и оператору фискальных данных — для формирования и направления фискальных чеков в соответствии с 54-ФЗ;
• операторам провайдеров входа — Яндекс и VK — в объёме, необходимом для аутентификации субъекта через соответствующий сервис OAuth;
• оператору сервиса веб-аналитики — ООО «ЯНДЕКС» (сервис «Яндекс Метрика») — в объёме обезличенных данных о посещениях Сайта, исключительно при наличии согласия субъекта на аналитические cookie (раздел 10) и при условии фактического подключения сервиса на момент обработки. По условиям сервиса оператором персональных данных остаётся Оператор, а ООО «ЯНДЕКС» действует по его поручению (ст. 6 ч. 3 Закона о ПДн);
• оператору сервиса защиты от автоматических обращений — ООО «ЯНДЕКС» (сервис Yandex SmartCaptcha) — на странице входа и только после трёх неудачных попыток входа подряд: в объёме сведений, содержащихся в HTTP-запросе браузера к этому сервису (IP-адрес, заголовки и технические характеристики браузера, сведения о прохождении проверки «я не робот»), а также разового токена проверки, который Оператор направляет сервису для подтверждения. Имя, телефон, адрес электронной почты и пароль субъекта в сервис не передаются. По условиям использования сервиса Оператор поручает ООО «ЯНДЕКС» обработку этих сведений (ст. 6 ч. 3 Закона о ПДн; п. 3.1 Условий использования сервиса СмартКапча). Пунктом 3.3 тех же Условий за ООО «ЯНДЕКС» и его аффилированными лицами закреплено право использовать сведения из HTTP-запросов для отладки, развития и обучения алгоритмов сервиса, если клиент не указал специальный запрещающий параметр;
• оператору сервиса электронной почты Яндекс 360 для бизнеса (ООО «ЯНДЕКС»): сервис используется для доставки писем субъекту (памятка к пробной тренировке, восстановление пароля); ему передаются адрес электронной почты и содержание письма;
• хостинг-провайдеру АО «Селектел» (ИНН 7810962785), обеспечивающему техническую инфраструктуру Сайта и базы данных; серверы и база данных размещены в дата-центре на территории Российской Федерации (Санкт-Петербург);
• государственным органам — в случаях, предусмотренных законодательством РФ.

8.2. Трансграничная передача персональных данных

• Взаимодействие с инфраструктурой Telegram, серверы которой располагаются за пределами территории Российской Федерации (перечень стран определяется политикой конфиденциальности Telegram), происходит в двух случаях, и оба являются трансграничной передачей персональных данных в значении статьи 12 Закона о ПДн:
• привязка Telegram-бота клуба субъектом в личном кабинете — передаётся идентификатор Telegram и сведения, необходимые для связи аккаунта с ботом;
• уведомления телеграм-бота клуба тому субъекту, который сам привязал Telegram или начал диалог с ботом, — передаётся идентификатор Telegram и содержание уведомления: подтверждение записи на пробную тренировку (дата и место), напоминание о ней, подтверждение оплаты (наименование тарифа и дата окончания членства). Имя, телефон и адрес электронной почты субъекта в уведомления не включаются.
• Оба случая наступают только по инициативе самого субъекта: без привязки бота и без начала диалога с ним передача не происходит.
• До начала осуществления трансграничной передачи Оператор обязан уведомить Роскомнадзор о своём намерении в соответствии со статьёй 12 Закона о ПДн (уведомление подаётся отдельно от уведомления об обработке персональных данных, предусмотренного статьёй 22).
• Требование о локализации (раздел 7.2) не ограничивает последующую трансграничную передачу персональных данных, ранее собранных и хранимых в базе данных на территории РФ (в редакции ч. 5 ст. 18 Закона о ПДн, действующей с 1 июля 2025 года).
• Сервис учёта тренировок Final Surge (США) используется для участников клуба по договору членства. Учётную запись в сервисе участник создаёт самостоятельно и сообщает Оператору адрес электронной почты этой учётной записи в личном кабинете; по этому адресу тренер подключает участника к своей группе в сервисе и размещает в нём тренировочные задания. Оператор передаёт в сервис только указанный адрес; сведения о самочувствии и здоровье в сервис не вносятся. Такая передача является трансграничной в значении статьи 12 Закона о ПДн: до её начала Оператор уведомляет Роскомнадзор, а поскольку США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов, соблюдает дополнительные условия, предусмотренные статьёй 12 для таких государств.
• Иные виды трансграничной передачи персональных данных Оператором не осуществляются.

8.3. Обязательства третьих лиц

При привлечении третьих лиц к обработке персональных данных Оператор требует от них соблюдения принципов и правил обработки персональных данных, предусмотренных Законом о ПДн, обеспечения конфиденциальности и безопасности персональных данных.

9. Права субъекта персональных данных и порядок их реализации

9.1. Права субъекта

Субъект персональных данных имеет право:

• на получение сведений об обработке своих персональных данных Оператором (ст. 14 Закона о ПДн);
• на доступ к своим персональным данным, включая право на получение копии любой записи, содержащей его персональные данные;
• на уточнение, блокирование или уничтожение своих персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• на отзыв согласия на обработку персональных данных;
• на обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда.

9.2. Порядок обращения субъекта

Запрос субъекта персональных данных (или его представителя) направляется в адрес Оператора одним из способов:

• по электронной почте: contact@vdsport.ru;
• почтовым отправлением по адресу: 199397, г. Санкт-Петербург, Новосмоленская набережная, д. 6, кв. 43.

Запрос о предоставлении сведений об обработке персональных данных (статья 14 Закона о ПДн) должен содержать сведения, предусмотренные частью 3 статьи 14: номер основного документа, удостоверяющего личность субъекта, сведения о дате его выдачи и выдавшем органе либо иные сведения, подтверждающие участие субъекта в отношениях с Оператором, а также подпись субъекта или его представителя. Для отзыва согласия, требования прекратить распространение персональных данных или иного обращения достаточно указать фамилию, имя и адрес электронной почты либо номер телефона, использованные при регистрации или записи на пробную тренировку.

9.3. Сроки ответа

Оператор обязан предоставить субъекту персональных данных или его представителю информацию, а также обеспечить возможность ознакомления с персональными данными субъекта при обращении либо в течение 10 (десяти) рабочих дней с момента получения запроса субъекта персональных данных или его представителя (ст. 14, 20 Закона о ПДн). Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней в случае направления Оператором субъекту мотивированного уведомления с указанием причин продления срока.

9.4. Отзыв согласия

Отзыв согласия на обработку персональных данных осуществляется субъектом в свободной форме путём направления уведомления на адрес электронной почты contact@vdsport.ru либо иным способом, указанным в разделе 9.2. Подробный порядок — в документе «Согласие на обработку персональных данных» (/legal/consent), раздел 9.

10. Использование файлов cookie

10.1. Общие сведения

Сайт использует файлы cookie и аналогичные технологии (локальное хранилище браузера) для обеспечения работы личного кабинета, запоминания настроек и — только при наличии согласия — для сбора обезличенной статистики посещаемости. Аналитика состоит из двух частей: сервис Яндекс.Метрика (ООО «ЯНДЕКС», данные обрабатываются на территории РФ) и собственный счётчик Сайта, который пишет обезличенные записи о просмотрах страниц в базу Оператора и хранит их 400 дней. Собственный счётчик учитывает адрес просмотренной страницы, источник перехода, тип устройства, семейство операционной системы и браузера и диапазон ширины экрана, без точных версий и моделей; эти данные нужны для статистики посещаемости и планирования маркетинговых решений клуба и для рекламных рассылок не используются. Ни в том, ни в другом случае Оператор не передаёт в аналитику имя, телефон, адрес электронной почты, IP-адрес или идентификатор учётной записи пользователя. До получения согласия скрипт Яндекс.Метрики не загружается, а собственный счётчик ничего не записывает. Согласие фиксируется отметкой в cookie vd_analytics_consent.

10.2. Подробности

Полный перечень используемых cookie, их назначение и сроки хранения, а также порядок управления согласием — в отдельном документе «Политика использования файлов cookie» (/legal/cookies).

11. Меры по обеспечению безопасности персональных данных

11.1. Организационные и технические меры

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных, в том числе:

• шифрование персональных данных при хранении (номер телефона субъекта шифруется алгоритмом AES-256-GCM);
• ограничение доступа к персональным данным по принципу необходимого минимума (доступ имеют только уполномоченные сотрудники Оператора);
• использование защищённых соединений (HTTPS/TLS) при передаче данных между Сайтом и сервером;
• резервное копирование и защита базы данных от несанкционированного доступа;
• организацию обработки персональных данных Оператор осуществляет лично (статья 22.1 Закона о ПДн возлагает обязанность назначить ответственное лицо на операторов-юридических лиц); обращения по вопросам обработки принимаются по адресу contact@vdsport.ru;
• оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона о ПДн, и соотношение указанного вреда и принимаемых Оператором мер.

11.2. Реагирование на инциденты

В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных третьим лицам Оператор обязан уведомить об этом Роскомнадзор в течение 24 (двадцати четырёх) часов с момента выявления инцидента, а в течение 72 (семидесяти двух) часов — направить результаты внутреннего расследования (ст. 21 Закона о ПДн).

Оператор осведомлён, что с 30 мая 2025 года (Федеральный закон от 30.11.2024 № 420-ФЗ) статьёй 13.11 КоАП РФ установлена повышенная административная ответственность в области персональных данных, в частности:

• за утечку персональных данных — в зависимости от объёма затронутых субъектов/идентификаторов — от 3 до 15 млн рублей (части 12–14 статьи 13.11 КоАП РФ);
• за неуведомление либо несвоевременное уведомление Роскомнадзора об утечке — от 1 до 3 млн рублей (часть 11 статьи 13.11 КоАП РФ);
• за повторную утечку персональных данных — оборотный штраф в размере от 1 до 3% совокупной выручки за предыдущий календарный год (но не менее 20 млн и не более 500 млн рублей) (часть 15 статьи 13.11 КоАП РФ).

Указанные штрафы применяются к Оператору как к юридическому лицу независимо от его статуса индивидуального предпринимателя (примечание к статье 13.11 КоАП РФ). Уголовным кодексом РФ (статья 272.1) предусмотрена уголовная ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, полученной незаконным путём.

12. Порядок внесения изменений в Политику

12.1. Актуализация

Оператор вправе вносить изменения в настоящую Политику. Актуальная версия Политики всегда доступна по адресу /legal/privacy. При внесении существенных изменений Оператор уведомляет пользователей путём публикации новой редакции на Сайте с указанием даты вступления в силу. Публикация новой редакции не расширяет ранее полученное согласие субъекта на новые цели обработки: для таких целей Оператор запрашивает согласие заново.

12.2. Дата актуализации

Дата последней редакции: 2026-10-22.

13. Реквизиты и контакты Оператора

13.1. Контактные данные

• ИП Бабчин Олег Ильич
• ОГРНИП: 311784730501087
• ИНН: 780157519080
• Адрес: 199397, г. Санкт-Петербург, Новосмоленская набережная, д. 6, кв. 43
• Email: contact@vdsport.ru
• Telegram: @olegbabchin